ANPD abre Consulta Pública sobre a Comunicação de Incidentes de Segurança com Dados Pessoais

A Autoridade Nacional de Proteção de Dados (ANPD) divulgou no dia 02/05 a abertura de Consulta Pública sobre a minuta de resolução referente ao Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais.

A proposta visa regulamentar a previsão do artigo 48 da Lei Geral de Proteção de Dados (LGPD), de comunicação por parte do controlador, sobre eventuais incidentes de segurança envolvendo dados pessoais, o referido artigo estabelece que a comunicação deverá no mínimo conter: (i) a descrição da natureza dos dados pessoais afetados, (ii) as informações sobre os titulares envolvidos, (iii) a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial, (iv) os riscos relacionados ao incidente, (v) os motivos da demora, no caso de a comunicação não ter sido imediata, (vi) as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

De acordo com o a minuta proposta, o processo de comunicação de incidente de segurança com dados pessoais tem como objetivo:

• proteger os direitos dos titulares;
• assegurar a adoção das medidas necessárias para mitigar ou reverter os efeitos dos prejuízos gerados;
• incentivar o princípio da responsabilização e da prestação de contas pelos agentes de tratamento;
• promover a adoção de regras de boas práticas, de governança e de medidas de prevenção e segurança adequadas;
• estimular a promoção da cultura de proteção de dados pessoais;
• garantir que os agentes de tratamento atuem de forma transparente, e estabeleçam uma relação de confiança com o titular; e
• fornecer subsídios para as atividades regulatórias, de fiscalização e sancionadora da Autoridade Nacional de Proteção de Dados (ANPD).

A minuta, objeto da consulta pública, ainda dispõe acerca de outras questões envolvendo incidentes de segurança e a respectiva comunicação, como:

• Estabelece os critérios para comunicação de incidentes de segurança;
• Define os critérios de situações que representam risco ou podem acarretar dano relevante aos titulares, e dentre eles estão incidentes que envolvam: (i) dados sensíveis, (ii) dados de crianças, adolescentes ou idosos, (iii) dados financeiros, (iv) dados de autenticação em sistemas, (v) dados em larga escala;
• Apresenta critérios que estabelecem o potencial de afetação dos interesses e direitos fundamentais de titulares, em caso de ocorrência de incidentes de segurança;
• Estabelece o prazo e informações que devem constar na comunicação do incidente à ANPD;
• Estabelece o prazo e informações que devem constar na comunicação do incidente aos titulares de dados pessoais;
• Descreve as informações e prazo que o controlador deverá manter o registro de indicidentes de segurança com dados pessoais;
• Descreve as diretrizes acerca do procedimento de comunicação e de apuração do incidente de segurança.

Além da proposta de minuta da Resolução e do Regulamento, estão disponíveis para consulta, no site da ANPD, o Relatório de Análise de Impacto Regulatório e o voto proferido pelo Diretor Relator acerca do tema..

As contribuições à ANPD, sobre o Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais poderão ser feitas até dia 31/05, através da plataforma Participa + Brasil.